Zyxel GS1900 zahteva Patch 3 zbog zaobilaženja prethodne zakrpe
Zyxel je objavio firmver 2.90 Patch 3 za 10 modela GS1900 svičeva pošto je Binarly utvrdio da raniji 2.90 Patch 2 ne blokira eksploit koji omogućava izvršavanje komandi sa root privilegijama bez prijave. Nova ranjivost nosi oznaku CVE-2026-107441, dok je prethodna zakrpa bila namenjena za CVE-2026-7273.
Pogođeni su modeli GS1900-8, GS1900-8HP, GS1900-10HP, GS1900-16, GS1900-24, GS1900-24E, GS1900-24EP, GS1900-24HPv2, GS1900-48 i GS1900-48HPv2. Uređaji koji koriste Patch 2 ili stariji firmver moraju dobiti odgovarajući Patch 3 paket za konkretan model.
Eksploit ostaje moguć posle Patch 2 ažuriranja
Binarly navodi da je za napad dovoljan mrežni pristup servisu za upravljanje, dok Zyxel scenario opisuje kao napad neautentifikovanog aktera iz LAN mreže. Istraživači su ranjivost ocenili sa 9,8 od 10 prema CVSS skali, a Zyxel joj je dodelio ocenu 8,8.
Problem se nalazi u programu koji obrađuje veb zahteve. On smešta parametre zahteva u prostor predviđen za najviše 140 parametara, ali ranije nije proveravao veličinu parametra. Eksploit šalje preveliki 140. parametar, čime se upisuje izvan predviđenog memorijskog prostora i menja brojač parametara. Sledeći parametar potom može završiti van tog prostora i promeniti funkciju koju program poziva, tako da se izvrši komanda napadača.
Patch 2 je dodao proveru brojača, ali ona se izvršava tek nakon kopiranja prevelikog parametra. Prema Binarlyju, tada je brojač već pod kontrolom napadača, pa provera ne sprečava upis. Istraživači su naveli da eksploit radi protiv Patch 2 izdanja bez izmena i da su ga testirali na emuliranom firmveru i stvarnom uređaju.
Šta donosi nova zakrpa
U Patch 3 kodu proverava se brojač pre kopiranja parametra, a samo kopiranje je ograničeno veličinom. Binarly navodi da te izmene otklanjaju ranjivost. Zyxelov bilten ne nudi alternativnu meru za vlasnike koji ne mogu odmah da ažuriraju, niti navodi da li ažuriranje uklanja pristup koji je napadač možda već stekao.
GreyNoise je 21. septembra objavio da su napadači oko 17. avgusta preuzeli podatke sa 996 GS1900 svičeva. Prikupljeni podaci obuhvatali su konfiguracije, heširane root kredencijale i mrežne informacije, a 564 uređaja koristila su fabričke podrazumevane kredencijale. Izveštaj ne navodi firmver napadnutih uređaja niti način na koji su napadači do njih došli.
Operativni koraci za mrežne timove
CISA je CVE-2026-7273 dodala u katalog Known Exploited Vulnerabilities 21. septembra i federalnim agencijama dala rok do 24. septembra za primenu tadašnje zakrpe. CVE-2026-107441 još nije naveden u tom katalogu, ali Binarly kaže da je prisutan u svih 10 Patch 2 izdanja.
Za poslovanje je praktičan zaključak da inventar GS1900 uređaja treba uporediti sa preciznim oznakama firmvera, instalirati odgovarajući Patch 3 i proveriti izloženost upravljačkog interfejsa mreži. Zamena podrazumevanih kredencijala i provera mogućih tragova kompromitacije ostaju važni jer sama objavljena dokumentacija ne objašnjava da li nadogradnja uklanja ranije stečeni pristup.